Utilizzo di FirewallD per gestire il firewall su CentOS 7

• Gestione dei servizi
• Gestione dei porti
• Abilitazione di FirewallD
• Conclusione

FirewallD è un firewall gestito dinamicamente che fornisce supporto per le regole e le zone firewall IPv4 e IPv6 disponibili sui server basati su RHEL 7. È un sostituto diretto iptablese funziona con il netfiltercodice del kernel .

In questo articolo vedremo brevemente la gestione del firewall su CentOS 7 usando il firewall-cmdcomando.

Verifica se FirewallD è in esecuzione

Il primo passo è verificare se FirewallD è installato e in esecuzione. Questo può essere fatto systemdeseguendo quanto segue:

$ systemctl status firewalld
● firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
   Active: active (running) since Thu 2016-03-10 15:07:00 UTC; 1min 30s ago
   ...

In alternativa, puoi controllare usando lo firewall-cmdstrumento:

$ firewall-cmd --state
running

Gestire le zone

FirewallD opera utilizzando il concetto di zonesdove una zona ha definito il livello di affidabilità utilizzato per una connessione. È possibile dividere interfacce di rete diverse in zone diverse per applicare regole firewall specifiche per interfaccia oppure è possibile utilizzare una zona per tutte le interfacce.

All'improvviso, tutto viene eseguito sulla publiczona predefinita , ma ci sono anche molte altre zone preconfigurate che possono essere applicate.

Elenco di tutte le zone disponibili

Potrebbe essere necessario ottenere un elenco di tutte le zone disponibili, di cui ce ne sono diverse pronte all'uso. Ancora una volta, questo può essere fatto usando firewall-cmd:

$ firewall-cmd --get-zones
block dmz drop external home internal public trusted work

Verifica della zona predefinita

Puoi scoprire la zona predefinita che è attualmente configurata usando firewall-cmd:

$ firewall-cmd --get-default-zone
public

Se desideri modificare la zona predefinita (ad esempio, in home), puoi farlo eseguendo:

$ firewall-cmd --set-default-zone=home
success

Queste informazioni si rifletterà nel file di configurazione principale, /etc/firewalld/firewalld.conf. Tuttavia, si consiglia di non modificare manualmente questo file e di utilizzarlo firewall-cmd.

Verifica delle zone attualmente assegnate

Puoi ottenere un elenco delle zone a cui hai assegnato le interfacce eseguendo:

$ firewall-cmd --get-active-zones
public
  interfaces: eth0

Puoi anche controllare la zona di una singola interfaccia ( eth0in questo caso) eseguendo:

$  firewall-cmd --get-zone-of-interface=eth0
public

Creare zone

Se le zone preconfigurate predefinite non soddisfano perfettamente le tue esigenze, il modo più semplice per creare una nuova zona ( zone1) è di nuovo tramite firewall-cmd:

$ firewall-cmd --permanent --new-zone=zone1
success

Dopo la creazione, è necessario ricaricare:

$ firewall-cmd --reload
success

Applicazione di una zona a un'interfaccia

Per assegnare in modo permanente un'interfaccia di rete a una zona, è possibile utilizzare firewall-cmdtuttavia ricordare di includere il --permanentflag per confermare la modifica. Se si utilizza NetworkManager, è necessario assicurarsi di utilizzare anche nmcliper impostare la zona di connessione.

$ firewall-cmd --permanent --zone=internal --change-interface=eth1`
success

Ottenere la configurazione permanente di una zona

Per verificare la configurazione permanente di una zona ( publicin questo caso) comprese le interfacce assegnate, i servizi consentiti, le impostazioni delle porte e altro, eseguire:

$ firewall-cmd --permanent --zone=public --list-all
public (default)
  interfaces:
  sources:
  services: dhcpv6-client ssh
  ports:
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:

Gestione dei servizi

Dopo aver assegnato e configurato le zone richieste, è possibile iniziare ad aggiungere servizi alle zone. I servizi descrivono i protocolli e le porte a cui è possibile accedere per una zona.

Elenco dei servizi esistenti

Numerosi servizi comuni sono preconfigurati all'interno di firewalld. Questi possono essere elencati:

$ firewall-cmd --get-services
RH-Satellite-6 amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns freeipa-ldap freeipa-ldaps freeipa-replication ftp high-availability http https imaps ipp ipp-client ipsec iscsi-target kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind rsyncd samba samba-client smtp ssh telnet tftp tftp-client transmission-client vdsm vnc-server wbem-https

Puoi anche ottenere un elenco dei servizi abilitati per la zona predefinita:

$ firewall-cmd --list-services
dhcpv6-client ssh

Aggiunta di un servizio a una zona

Puoi abilitare un determinato servizio per una zona ( public) in modo permanente usando il --add-serviceflag:

$ firewall-cmd --permanent --zone=public --add-service=http
success

E quindi ricaricare la sessione firewall corrente:

$ firewall-cmd --reload
success

Quindi, per verificare che sia stato aggiunto:

$ firewall-cmd --zone=public --list-services
dhcpv6-client http ssh

Rimozione di un servizio da una zona

Puoi rimuovere un determinato servizio per una zona ( public) in modo permanente usando il --remove-serviceflag:

$ firewall-cmd --permanent --zone=public --remove-service=http
success

E quindi ricaricare la sessione firewall corrente:

$ firewall-cmd --reload
success

Quindi, per verificare che sia stato aggiunto:

$ firewall-cmd --zone=public --list-services
dhcpv6-client ssh

Aggiunta / rimozione di più servizi da una zona

È possibile aggiungere o rimuovere più servizi (ad esempio, httpe https) da una zona uno alla volta o tutti contemporaneamente avvolgendo i nomi dei servizi desiderati tra parentesi graffe ( {, }):

$ firewall-cmd --permanent --zone=public --add-service=
success

$ firewall-cmd --permanent --zone=public --list-services
dhcpv6-client http https ssh

Creazione di nuovi servizi

A volte potrebbe essere necessario aggiungere nuovi servizi personalizzati, ad esempio se hai cambiato la porta per il demone SSH. I servizi sono definiti utilizzando file XML banali, con i file predefiniti che si trovano in /usr/lib/firewalld/services:

$  tree /usr/lib/firewalld/services
/usr/lib/firewalld/services
├── amanda-client.xml
├── bacula-client.xml
├── bacula.xml
├── dhcpv6-client.xml
├── dhcpv6.xml
├── dhcp.xml
├── dns.xml
├── freeipa-ldaps.xml
├── freeipa-ldap.xml
├── freeipa-replication.xml
├── ftp.xml
├── high-availability.xml
├── https.xml
├── http.xml
...

Il modo più semplice per creare un nuovo servizio è copiare uno di questi file di servizio esistenti e modificarlo. I servizi personalizzati dovrebbero risiedere in /etc/firewalld/services. Ad esempio, per personalizzare il servizio SSH:

$ cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/ssh-custom.xml

Il contenuto di questo file copiato dovrebbe essere simile a:

$ cat /etc/firewalld/services/ssh-custom.xml
<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>SSH</short>
  <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description>
  <port protocol="tcp" port="22"/>
</service>

Per modificare la porta, è necessario modificare il nome breve per il servizio e la porta. Se lo desideri, puoi anche modificare la descrizione, ma si tratta solo di metadati extra che potrebbero essere utilizzati da un'interfaccia utente o da un'altra applicazione. In questo esempio, sto cambiando la porta su 1234:

$ nano /etc/firewalld/services/ssh-custom.xml
<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>SSH-Custom</short>
  <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description>
  <port protocol="tcp" port="1234"/>
</service>

Una volta salvato, dovrai ricaricare il firewall e quindi puoi applicare la tua regola alla tua zona:

$ firewall-cmd --reload
success

$ firewall-cmd --permanent --zone=public --add-service=ssh-custom
success

Gestione dei porti

Oltre all'utilizzo dei servizi, è anche possibile consentire manualmente le porte tramite protocollo. Per consentire la porta TCP 7777per la publiczona:

$ firewall-cmd --permanent --zone=public --add-port=7777/tcp
success

Puoi anche aggiungere un intervallo di porte:

$ firewall-cmd --permanent --zone=public --add-port=7000-8000/tcp
success

Per rimuovere (e quindi negare) la porta TCP 7777per la publiczona:

$ firewall-cmd --permanent --zone=public --remove-port=7777/tcp
success

Puoi anche elencare le porte attualmente consentite per una determinata zona ( public) dopo aver ricaricato la sessione firewall corrente:

$ firewall-cmd --zone=public --list-ports
7000-8000/tcp

Abilitazione di FirewallD

Dopo aver configurato il firewall a tuo piacimento, assicurati di abilitarlo tramite systemd per assicurarti che inizi all'avvio:

$ systemctl enable firewalld

Conclusione

Ci sono molte più impostazioni e opzioni in FirewallD, come il port forwarding, il mascheramento e la comunicazione con il firewall tramite D-Bus. Speriamo che questa guida ti abbia aiutato a cogliere le nozioni di base e ti abbia fornito gli strumenti per iniziare a utilizzare il firewall dal tuo server. Alcune letture aggiuntive di seguito ti aiuteranno a ottenere il massimo dal tuo firewall.

• Utilizzo di Fail2ban con FirewallD - Fedora Wiki
• FirewallD - Fedora Wiki
• Introduzione a FirewallD - Guida alla sicurezza di RedHat 7